Questari 隱私權政策
最後更新：2026-11-04 適用版本：app 版本 1.1.1 起
摘要（先講結論）
Questari 是給國小學生的練習遊戲，目前涵蓋數學、國語文、英語、自然與社會五科。
- 我們不收集孩子的姓名、生日、照片、聲音、精確位置、聯絡資訊。 一項都沒有。
- app 裡沒有任何廣告。 但我們會在 Meta（Facebook、Instagram）上投放 Questari 的 推廣廣告，app 裡的 Meta SDK 會把開啟、註冊、結帳、購買等事件送給 Meta， 用來量測這些廣告帶來多少安裝與購買，明細見 §6.3。
- app 裡另有一個分析工具——Google Analytics for Firebase——用來統計功能使用情形、 改進 app，明細見 §6.2。
- 還有一個安裝來源歸因工具——AppsFlyer——只用來判斷「這次安裝來自哪個廣告或推廣連結」， 明細見 §6.4。
- 如果你是透過朋友的推薦連結安裝、註冊或購買，我們會把必要資訊（家長 Email、購買紀錄等） 交給推廣分潤合作方 CFD，用來計算推薦人的分潤，明細見 §6.5。這件事只在透過推薦連結 產生時才會發生；推薦連結只在家長中心（PIN 門後）顯示與分享，孩子端沒有入口。
- 這三者（Google Analytics、Meta、AppsFlyer）都不收集廣告識別碼（IDFA／GAID）。
- 家長可以一次關掉前三者：家長中心 →「隱私設定」→「匿名使用統計」（預設開啟）。 關掉之後不再送出使用情形統計、不再送任何事件給 Meta，也不再送資料給 AppsFlyer，遊戲功能不受影響。 這顆開關也管 App 端的 CFD：關掉後不再存推廣碼、不回報安裝、不交碼給後端；但已經成立的推薦 關係，之後的購買、續訂、退款我們的後端仍會照常回報給 CFD——那是分潤結算，不是使用統計，見 §6.5。
- 我們不販售資料。 為了讓「付款」與「登入」能運作、做上述的使用情形統計、 以及量測我們自己的廣告成效，有幾個服務會收到資料（購買處理、Apple 登入、 Google 登入、Google Analytics、Meta、AppsFlyer、推廣分潤合作方 CFD， 以及你主動送出意見反饋時的客服系統），明細見 §6。
- 在家長綁定 Email 之前，孩子的進度與答題紀錄不會上傳到我們的伺服器， 只寫在這台裝置上。（使用情形統計、送給 Meta 的事件與送給 AppsFlyer 的安裝資訊不受這一條管； 上面的開關開著時，從第一次開啟就會送出，內容見 §6.2、§6.3、§6.4——裡面都沒有逐題答題紀錄。）
- 綁定並點過確認信之後才開始同步。那時上傳的是遊戲進度與答題紀錄，內容見 §3。
- app 需要連網才能取得題目。取題時伺服器會知道是哪一台裝置在要， 但我們不記錄誰讀了哪一章——後端沒有任何一張表存放這件事。
1. 誰是資料控制者
GCDM Limited（以下稱「我們」）。聯絡方式：support@mivoo.ai。
2. 我們不收集什麼
為了避免誤解，先列出我們沒有收集的項目：
| 項目 | 是否收集 |
|---|---|
| 姓名、暱稱以外的稱呼 | ❌ 不收集 |
| 電子郵件（未登入時） | ❌ 不收集 |
| 出生日期、年齡 | ❌ 不收集（我們只知道孩子選了哪個「年級」，那是課程難度設定，不是年齡宣告） |
| 照片、影片、錄音 | ❌ 不收集 |
| 精確位置（GPS） | ❌ 不收集。app 沒有定位權限 |
| 粗略位置 | ⚠️ 我們自己不取；Google Analytics、Meta 與 AppsFlyer 可從連線的 IP 位址推估大致地區（見 §6.2、§6.3、§6.4） |
| 通訊錄、通話紀錄、簡訊 | ❌ 不收集 |
| 廣告識別碼（IDFA / GAID） | ❌ 不收集。iOS 的 IDFA、Android 的廣告 ID 都已在設定上關閉（Google Analytics、Meta SDK、AppsFlyer 三邊都關了；iOS 的 AppsFlyer 用的是不含廣告識別碼程式的版本）；iOS 的 IDFV 也不收集（Google Analytics 與 AppsFlyer 的 IDFV 採集都已關閉）。Android 上有一個與 Facebook app 有關的例外，見 §6.3 |
| 裝置識別碼 | ⚠️ 我們自己的伺服器不收；Google Analytics 會為每次安裝產生一個假名的安裝識別碼（不是廣告識別碼、重新安裝就會換，見 §6.2）；Meta SDK 會產生一個 Meta 匿名識別碼（也不是廣告識別碼，見 §6.3）；AppsFlyer 也會為每次安裝產生一個AppsFlyer 安裝識別碼（不是廣告識別碼，見 §6.4） |
| 瀏覽紀錄、其他 app 的使用情形 | ❌ 不收集 |
app 裡不顯示任何廣告，也沒有放入專門的崩潰回報 SDK；但 Meta SDK 可能把它自身程式的當機報告送給 Meta（§6.3）。第三方的分析／量測工具有三個： Google Analytics for Firebase（§6.2）、只用來量測我們在 Meta 投放之廣告成效的 Meta SDK（§6.3），以及只判斷安裝來源的 AppsFlyer（§6.4），三者都以不收集廣告識別碼的設定運作。
另外，如果這次安裝、註冊或購買是透過朋友的推薦連結產生的，我們會把家長 Email 與購買紀錄 交給推廣分潤合作方 CFD，用來計算推薦人的分潤，見 §6.5。這不是分析或量測工具，CFD 也 不收集廣告識別碼或裝置識別碼。
3. 我們收集什麼
3.1 學習與遊戲資料
| 資料 | 具體內容 | 為什麼要 |
|---|---|---|
| 遊戲進度 | 目前科目與年級、已通關章節、金幣、道具數量 | 讓孩子下次打開時能接著玩 |
| 收集資產 | 擁有的寵物（物種、等級、經驗、暱稱）、出戰隊伍、圖鑑收錄狀態 | 同上 |
| 答題紀錄 | 每一題的作答時刻（UTC）、科目、年級、章節、題號、課綱編碼、答對或答錯、選了第幾個選項、從題目出現到選定的毫秒數 | 產生家長端的成長表：課綱覆蓋進度、掌握度、錯題本、學習曲線 |
| 學習時段 | 每次開啟練習的起訖時間 | 計算連續學習天數與每週學習時間 |
| 里程碑 | 達成的徽章與時間 | 冒險者手冊的成就紀錄 |
「從題目出現到選定的毫秒數」為什麼要收：它用來判斷「這題是不是沒看清楚就按了」， 好在講解時先問「你是怎麼想的」而不是直接說錯。它不用於任何形式的側寫或廣告。
3.2 家長 PIN
家長中心的 6 位數 PIN 存放在裝置的安全儲存區（iOS Keychain／Android Keystore）。 PIN 不會離開裝置，也不會上傳。 我們無法讀取它，也無法幫忙找回—— 忘記時唯一的做法是清除這台裝置上的資料（見 §7）。
3.3 帳號（僅在家長主動建立時）
若家長選擇綁定 Email 以啟用跨裝置同步，我們會收到那個電子郵件位址， 以及系統為該帳號產生的使用者識別碼。不綁定也能完整使用 app 的所有功能， 只是進度不會同步到其他裝置、換手機也拿不回來。
可用的綁定與登入方式有三種：Sign in with Apple、使用 Google 帳號、 以及電子郵件驗證碼。用 Apple 或 Google 登入時，我們從該服務收到的是 它給的使用者識別碼與電子郵件位址（若你選擇 Apple 的「隱藏我的電子郵件」， 我們收到的是 Apple 代轉的匿名轉寄地址，看不到你真正的信箱）。 我們不會收到你的 Apple ID 或 Google 帳號密碼，也拿不到通訊錄、 生日、大頭照或其他個人資料。
上傳從什麼時候開始：寄出確認信還不算——在你點下信裡的連結之前， 帳號的能力與未綁定時相同，進度與答題紀錄仍然只在這台裝置上。 點過確認之後才開始同步。家長中心的「資料與隱私」會顯示目前處於哪一種狀態。
3.4 購買與訂閱
若家長在家長中心購買內容包或訂閱全站通行證，處理流程如下：
| 項目 | 說明 |
|---|---|
| 誰處理付款 | Apple App Store 或 Google Play。我們看不到也不儲存信用卡號、 |
帳單地址或任何付款工具資訊 |
| 我們儲存什麼 | 你買到的權益（哪一個內容包或訂閱、授予時間、訂閱到期時間）、 |
以及商店給的交易識別碼。用途是解鎖你已付款的內容、以及在你換裝置時還原權益 |
| 誰協助處理 | RevenueCat（見 §6）。它代我們與兩家商店對帳， |
收到的是你的使用者識別碼與購買事件 |
| 為什麼要儲存 | 沒有這筆記錄就無法判斷誰買了什麼，已付款的內容會鎖著打不開 |
購買必須先綁定帳號。 未綁定時購買入口不會出現——買在未綁定的臨時身分上， 換手機或重新安裝就拿不回來，那等於白花錢。
3.5 你主動聯絡我們時提供的資訊
家長中心的「意見反饋」是你主動填寫並按下送出才會傳出的，不填就不傳。
| 收集項 | 用途 |
|---|---|
| 你填的聯絡信箱 | 回覆你。可以填與綁定帳號不同的信箱 |
| 問題類型與問題描述 | 判斷與處理問題 |
| app 版本與 build 號、裝置平台（iOS／Android） | 沒有這些就無法重現問題 |
| 你的帳號識別碼 | 對上你的紀錄以便排查。未綁定帳號時是臨時識別碼 |
| 當前科目與年級 | 定位是哪一份內容出問題 |
處理這些資訊的是 ptrace 客服系統（見 §6）。我們在畫面上也提醒過： 請不要在描述裡填入孩子的真實姓名或其他個人資料——我們不需要它們來處理問題。
孩子端沒有任何反饋入口，這一段只發生在家長 PIN 之後。
4. 資料存在哪裡
- 未登入時：進度與答題紀錄全部存在這台裝置上（app 的私有儲存區）。 使用情形統計例外，見 §6.2。
- 登入並開啟同步時：遊戲進度與答題紀錄會存放在我們的後端服務 Supabase（PostgreSQL），機房位於日本東京（Northeast Asia / Tokyo）。
資料存放在日本而不是台灣，是因為 Supabase 目前沒有台灣機房，東京是延遲 最低的選項。日本受《個人情報保護法》規範，並經歐盟認定具備適足的資料保護 水準（GDPR 第 45 條適足性決定），因此資料傳輸至日本不需要額外的移轉機制。
未綁定 Email 時，沒有任何進度或答題紀錄上傳到這個伺服器。 app 為了取題 需要連上它，那個連線帶著一個系統產生的匿名識別碼；除此之外不上傳任何東西到 這個伺服器，我們也不記錄取題行為。（Google Analytics 的使用情形統計是另一條 路徑，送往 Google，見 §6.2。）綁定並確認之後，§3 列出的資料才開始同步。
後端以 Row Level Security 設定為「每位使用者只能讀寫自己的資料」， 並有對應的自動化測試（pgTAP）驗證這條規則。這條規則並經過注入驗證 ——故意破壞其中一條 policy，既有的 pgTAP 測試就會變紅——以確保這層防護是 驗證過的，而非只是寫在紙上。
5. 資料保留多久
| 資料 | 保留期 |
|---|---|
| 裝置上的遊戲進度與答題紀錄 | 直到孩子或家長清除，或刪除 app |
| 逐題答題日誌（雲端） | 帳號存續期間。刪除帳號時一併刪除 |
| 每週彙總（雲端） | 同上 |
| 帳號與所有相關資料 | 在 app 內按「刪除帳號」即時刪除；以信件提出請求則 30 天內完成 |
| Google Analytics 的使用情形資料（§6.2） | 2 個月後由 Google 自動刪除（GA 的使用者層級資料保留設定），之後只剩不可識別個人的彙總統計 |
我們目前不會自動刪除舊的答題紀錄。 成長曲線要顯示長期趨勢， 需要那些紀錄；家長中心的錯題本也會回溯較早的題目。 若你希望刪除，目前的做法是刪除整個帳號（或清除本機資料）， 我們沒有提供「只刪除某一段時間的紀錄」的功能。
6. 誰會收到資料
沒有資料仲介，我們也不販售資料；app 裡不顯示廣告。 分析服務是 Google Analytics for Firebase，只做內部的使用情形統計（§6.2）。另外，我們會把 §6.3 列出的事件送給 Meta，用來量測我們自己在 Meta 投放的廣告成效（歸因：哪些安裝、註冊、購買來自 這些廣告）。安裝來源的判斷則交給 AppsFlyer（§6.4）。如果這次安裝、註冊或購買來自 朋友的推薦連結，我們還會把家長 Email 與購買紀錄交給推廣分潤合作方 CFD，計算推薦人的 分潤（§6.5）。以下是實際會收到資料的服務及其原因。 除了 Meta 之外，它們都以我們的委託處理資料，不得為自己的目的使用（Google Analytics 這一點以 資料共用設定全部關閉為前提，見 §6.2）；Meta 依它自己的隱私政策處理收到的資料，見 §6.3。
| 服務 | 何時會收到 | 收到什麼 | 為什麼必需 |
|---|---|---|---|
| Supabase（後端與資料庫） | 綁定帳號後 | §3 列出的遊戲進度與答題紀錄、 |
帳號識別碼、電子郵件位址 | 這是我們的資料庫與伺服器；沒有它就沒有跨裝置同步 |
| RevenueCat（購買對帳） | 購買事件與交易識別碼：只在你購買或按「恢復購買」時。識別碼：app 啟動購買服務時就會交出（例如商店載入價格時，不必購買） | 你的使用者識別碼、 |
購買事件與商店交易識別碼；統計開關開著時，另有 Google Analytics 的安裝識別碼（§6.2） 與 Meta 匿名識別碼（§6.3）。不含答題紀錄、不含孩子的學習資料 | 代我們與 Apple／ Google 對帳，判斷訂閱是否還有效、退款是否該收回權益 |
| Apple（Sign in with Apple） | 只在你選擇用 Apple 登入時 | 由 Apple 端發起， |
回傳給我們的是識別碼與（可能被 Apple 代轉的）電子郵件 | 提供登入方式 |
| Google（Google 登入） | 只在你選擇用 Google 登入時 | 同上 | 提供登入方式 |
| Apple App Store／Google Play | 只在你付款時 | 付款資訊由商店直接處理， |
我們收不到 | 平台規定的付款途徑 |
| ptrace 客服系統 | 只在你主動送出意見反饋時 | §3.5 列出的那幾項。 |
不含孩子的答題紀錄與學習資料 | 客服工單與回覆的載體 |
| Google（Google Analytics for Firebase） | app 使用期間，從第一次開啟起 | §6.2 列出的使用情形事件、假名的安裝識別碼、由 IP 推估的大致地區。 |
不含姓名、信箱、帳號識別碼、自由文字，也不含逐題答題紀錄 | 統計功能使用情形、找出問題、決定下一步要改什麼 |
| Meta（Meta SDK） | 「匿名使用統計」開著時，從第一次開啟起 | §6.3 列出的事件（結帳與購買事件含價格）、Meta 匿名識別碼、裝置與網路資訊、IP 位址、Meta SDK 自身的當機報告。 |
不含姓名、信箱、帳號識別碼、廣告識別碼，也不含答題紀錄 | 量測我們在 Meta 投放的廣告帶來多少安裝、註冊與購買 |
| AppsFlyer（安裝來源歸因） | 「匿名使用統計」開著時，從第一次開啟起 | §6.4 列出的安裝與開啟紀錄、AppsFlyer 安裝識別碼、裝置與網路資訊、IP 位址；Android 另有 Google Play 的安裝來源資訊。 |
不含姓名、信箱、帳號識別碼、廣告識別碼、遊戲內事件、購買，也不含答題紀錄 | 判斷安裝來自哪個廣告或推廣連結，評估推廣管道的成效 |
| CFD（推廣分潤合作方） | 只在這次安裝、註冊或購買透過推薦連結產生時：首次安裝由 App 內的 CFD SDK 送出； |
建檔、註冊歸因、購買／續訂／退款由我們的後端送出，見 §6.5 的時機表 | §6.5 列出的推廣碼、家長 Email、帳號識別碼、商店交易識別碼、新台幣金額等。 不含孩子暱稱、學習與答題資料、廣告識別碼、裝置識別碼 | 計算推薦人應得的分潤 |
不綁定帳號、不購買，連網的只有取題、使用情形統計（§6.2）、送給 Meta 的事件（§6.3）、送給 AppsFlyer 的安裝資訊（§6.4）， 以及——只在這次安裝來自推薦連結時——送給 CFD 的推廣碼（§6.5）， 進度與答題紀錄都留在這台裝置上。
法律要求時（例如司法機關的正式命令）我們可能必須揭露資料；若發生這種情況， 在法律允許的範圍內我們會通知受影響的使用者。
法律要求時（例如司法機關的正式命令）我們可能必須揭露資料；若發生這種情況， 在法律允許的範圍內我們會通知受影響的使用者。
6.2 使用情形分析（Google Analytics for Firebase）
App 使用 Google 提供的 Google Analytics for Firebase 統計 app 的使用情形。 我們用它回答的是「哪個功能有人用、新手引導卡在哪一步、哪裡出錯」這類問題， 不是用來認識某一個孩子。
收集什麼
| 項目 | 內容 |
|---|---|
| 安裝識別碼 | Firebase 為每次安裝產生的假名識別碼（app instance ID）。它不是廣告識別碼，重新安裝就會換一個 |
| 使用情形事件 | 開了哪個畫面、進了哪個功能、戰鬥開始與結束、新手引導進行到哪一步、帳號流程進行到哪一步、付費頁是否顯示與購買流程的結果 |
| 學習摘要 | 科目、年級、答題數與答對數。不含題目內容、孩子選了什麼、逐題紀錄 |
| 三個狀態欄位 | 帳號狀態（未綁定／已綁定）、是否為付費使用者、目前選的年級 |
| 購買事件 | 購買了哪一項商品與結果；經由購買對帳服務 RevenueCat 與商店回報的購買事件可能包含金額 |
| 大致地區 | Google 從連線的 IP 位址推估的大致地區（我們已關閉細部位置資料收集）。app 不使用 GPS 或系統定位 |
不收集什麼：姓名、電子郵件、帳號識別碼（我們不把它設給 Google Analytics）、 孩子輸入的任何文字、原始錯誤訊息、廣告識別碼（iOS 的 IDFA 與 IDFV、Android 的 廣告 ID 都已在 app 設定上關閉，Android 版也移除了廣告 ID 權限）。
與購買的連結：為了讓購買統計能對上同一個安裝，我們會把上述安裝識別碼交給 購買對帳服務 RevenueCat（§6）。RevenueCat 那邊以你的帳號記錄購買，所以這個 識別碼與帳號是連在一起的。我們把它當成與帳號相關的資料來對待。
用途（兒童隱私法規所稱的「內部營運支援」）——安裝識別碼只用於下列內部營運：
1. 統計報告：功能使用率、新手引導與帳號流程的完成率、付費頁的轉換率 2. 分析與改進 app 的運作：找出使用者卡關或放棄的地方，決定要改什麼 3. 除錯與穩定性：發現哪個流程失敗率異常升高
我們用來確保它不被移作他用的方法：
- 不用於廣告：app 沒有廣告；不收集廣告識別碼；廣告個人化訊號已關閉； Google Analytics 資源沒有連結 Google Ads 或 AdMob
- 不做跨裝置或跨 app 追蹤：Google Signals 已關閉
- 不讓 Google 另作他用：Google Analytics 的資料共用設定全部關閉 （含「Google 產品與服務」）
- 不建立個人輪廓、不用來聯繫任何人：不設定使用者 ID、事件內容不含姓名、 信箱或任何可以聯繫到人的資訊；細部位置與裝置資料收集已關閉
- 保存期限短：使用者層級資料保留 2 個月後由 Google 自動刪除（見 §5）
- 資料以加密連線（TLS）傳送
Google 如何處理這些資料：請見 Google 的說明 「Google 如何使用來自使用我們服務之網站或應用程式的資訊」 <https://policies.google.com/technologies/partner-sites> 與 Google 隱私權政策 <https://policies.google.com/privacy>。
刪除：這些資料沒有和姓名或信箱放在一起，「刪除帳號」（§7.2）不會即時清掉 Google 那邊已經送出的使用情形資料；它們會在 2 個月保留期滿時由 Google 自動刪除。 若你希望提前處理，寄信到 support@mivoo.ai。
6.3 廣告成效量測（Meta）
我們會在 Meta（Facebook、Instagram）上投放 Questari 的推廣廣告。app 裡的 Meta SDK （Meta App Events）把下列事件送給 Meta，讓我們知道這些廣告帶來多少安裝、註冊與購買。 app 裡不顯示任何廣告，Meta SDK 也不用來在 app 裡投放廣告。
送出什麼
| 項目 | 內容 |
|---|---|
| 事件 | 開啟 app、完成註冊（含註冊方式：Apple／Google／Email）、瀏覽商店、開始結帳（含價格、幣別與商品代號）、首次購買與再次購買（含價格與商品代號）、花用遊戲金幣（含金幣數量與品項名稱）、安裝後第 1／7／30 天回來使用 |
| Meta 匿名識別碼 | Meta SDK 在這台裝置上產生的識別碼。它不是廣告識別碼 |
| 裝置與網路資訊 | 例如裝置型號、作業系統與 app 版本、電信業者、時區、語系、螢幕尺寸 |
| 當機報告 | Meta SDK 自身程式出錯時，可能把當機報告（錯誤位置與裝置資訊）送給 Meta |
| IP 位址 | 連線本身會帶；Meta 可以由此推估大致地區 |
不送什麼：姓名、電子郵件、帳號識別碼、題目內容與答題紀錄、孩子輸入的任何文字。 不收集廣告識別碼：iOS 的 IDFA、Android 的廣告 ID，採集都已在 Meta SDK 的設定上關閉， Android 版也移除了廣告 ID 權限；app 不會跳出「允許追蹤」（App Tracking Transparency）的詢問。
Android 的一個例外：如果 Android 手機上裝了 Facebook app，Meta SDK 可能會從 Facebook app 讀取一個由 Facebook app 產生、用於廣告歸因的識別碼，一併送給 Meta。 這一項不受上面「關閉廣告識別碼採集」的設定管；要完全停止，請關掉下面的開關。
與購買的連結：Meta 匿名識別碼也會交給購買對帳服務 RevenueCat（§6）。RevenueCat 與 Meta 有整合，可能依其設定把購買事件（含金額）轉送給 Meta，讓購買對得上同一台裝置。
怎麼關：家長中心 →「隱私設定」→「匿名使用統計」。這個開關同時管 Google Analytics （§6.2）與 Meta，預設開啟。關著時 Meta SDK 不會啟動、不送任何事件；使用中關掉則不再產生新事件， 但已在裝置上排隊、尚未送出的事件之後仍可能送出（Meta SDK 會先暫存、分批或等連線恢復再送）； 我們也會清掉 RevenueCat 上的 Meta 匿名識別碼（當下沒清成會在之後重試）。關掉不影響任何遊戲功能。
Meta 如何處理這些資料：請見 Meta 隱私政策 <https://www.facebook.com/privacy/policy/>。
刪除：已經送給 Meta 的事件不在我們手上，「刪除帳號」（§7.2）不會刪除 Meta 那邊已收到的 資料。關掉上面的開關會停止產生新事件（已在裝置上排隊的事件仍可能送出）。若有疑問，寄信到 support@mivoo.ai。
6.4 安裝來源歸因（AppsFlyer）
我們在不同管道推廣 Questari（例如 Meta、Google 的廣告，或我們自己發出的推廣連結）。 app 裡的 AppsFlyer SDK 回答的問題是：這次安裝來自哪個管道。它不接收遊戲內的 任何事件，也不接收購買資料；唯一的例外是推薦碼——如果這次安裝來自我們自己發出的 推薦連結，AppsFlyer 回傳的連結參數裡帶著推薦人的推廣碼，app 會把這個推廣碼存在裝置上 （最多 3 天）並轉交推廣分潤合作方 CFD，用途與明細見 §6.5。
送出什麼
| 項目 | 內容 |
|---|---|
| 安裝與開啟紀錄 | app 第一次開啟（安裝）與之後每次開啟的時間 |
| AppsFlyer 安裝識別碼 | AppsFlyer 在這台裝置上為這次安裝產生的識別碼。它不是廣告識別碼，重新安裝就會換一個。我們不把帳號識別碼設給 AppsFlyer，也不把這個識別碼交給其他服務 |
| 裝置與網路資訊 | 例如裝置廠牌與型號、作業系統與 app 版本、語系與國家、電信業者與網路類型、電量與儲存空間、開機時間（以上依 Android 版實測；iOS 版依 AppsFlyer 的說明，項目相近） |
| 安裝來源（僅 Android） | Google Play 提供的安裝來源資訊（Install Referrer），用來對上推廣連結 |
| IP 位址 | 連線本身會帶；AppsFlyer 可以由此推估大致地區 |
不送什麼：姓名、電子郵件、帳號識別碼、題目內容與答題紀錄、孩子輸入的任何文字、遊戲內事件、購買 （推薦碼的轉交見上方「唯一的例外」，交給的是 CFD 而不是廣告平台）。 不收集廣告識別碼：iOS 版使用 AppsFlyer 不含廣告識別碼程式的版本（Strict），並關閉了 IDFV； Android 版關閉了廣告識別碼採集，也移除了廣告 ID 權限。app 不會跳出「允許追蹤」（App Tracking Transparency）的詢問。在沒有其他依據（例如 iPhone 上沒有廣告識別碼）時，AppsFlyer 可能用 IP 位址與裝置資訊做機率式比對，推估這次安裝是否來自某個推廣連結——2026-11-04 真機實測證實這個機制 確實在跑，我們沒有能力關閉它（這是 AppsFlyer 平台側的預設行為，不是我們程式碼裡的開關）。
AppsFlyer 拿這些資料做什麼：AppsFlyer 以我們的委託處理這些資料，把安裝對上我們投放的廣告或 推廣連結，產生「各管道帶來多少安裝」的報告給我們。若我們在 AppsFlyer 後台啟用了某個廣告平台的整合， AppsFlyer 會把「這次安裝來自該平台的廣告」這個結果回報給該平台，讓我們在該平台上看到廣告成效。
怎麼關：家長中心 →「隱私設定」→「匿名使用統計」。這個開關同時管 Google Analytics（§6.2）、 Meta（§6.3）與 AppsFlyer，預設開啟。關著時 AppsFlyer 不會啟動、不送任何資料；使用中關掉則立即停止 送出。關掉不影響任何遊戲功能。
AppsFlyer 如何處理這些資料：請見 AppsFlyer 隱私政策 <https://www.appsflyer.com/legal/privacy-policy/>。
刪除：已經送給 AppsFlyer 的資料沒有和帳號放在一起，「刪除帳號」（§7.2）不會刪除 AppsFlyer 那邊 已收到的資料。若你希望刪除，寄信到 support@mivoo.ai，我們會代為向 AppsFlyer 提出刪除請求。
6.5 推廣分潤（CFD 代理分潤）
我們與推廣分潤合作方 CFD 合作：家長經朋友的推薦連結安裝、 註冊或購買時，我們會把必要資訊交給 CFD，由它計算推薦人的分潤。這件事只在透過推薦連結 產生時才會發生——不是從推薦連結安裝、或帳號沒有推薦你的上級，就不涉及 CFD。
推薦連結只在家長中心（需要家長 PIN）→「推薦給朋友」顯示與分享；孩子端沒有任何入口。
送出什麼
| 時機 | 誰送 | 送出什麼 | 條件 |
|---|---|---|---|
| 首次安裝 | App 內的 CFD SDK | 推薦人的推廣碼（iOS 另外會送一個代表平台的代碼） | 這次安裝來自推薦連結，且家長沒有關閉「匿名使用統計」 |
| 建檔、取得你自己的推廣連結 | 我們的後端 | 家長帳號的 Email（名字欄位也填這個 Email）、平台（iOS／Android）、App 的識別碼 | 具名帳號第一次打開家長中心「推薦給朋友」取得自己的推廣連結時；或你的帳號是從推薦連結安裝的，綁定 Email 後要掛上推薦人時 |
| 註冊歸因 | 我們的後端 | 推薦你的那個上級推廣碼、你帳號的使用者識別碼、你的 Email、一個固定值的性別欄位（我們不收集性別，CFD 的表單要求必填，一律回填固定值）、平台、App 的識別碼 | 你的帳號是從某個推薦連結安裝的，而且還沒回報過註冊 |
| 購買、續訂、退款 | 我們的後端（依商店與 RevenueCat 的交易回報） | 這筆交易的訂單號（含商店的交易識別碼）、你帳號的使用者識別碼、換算成新台幣的金額、平台、App 的識別碼 | 你的帳號有推薦你的上級；免費試用開始、金額為 0、以及測試用（sandbox）交易不會送出 |
不送什麼：孩子的暱稱、答題紀錄與任何學習資料、廣告識別碼（IDFA／IDFV／GAID）、裝置識別碼。
CFD 拿這些資料做什麼：計算推薦人應得的分潤——判斷誰推薦了誰、誰因此購買了什麼。
怎麼關：家長中心 →「隱私設定」→「匿名使用統計」（與 Google Analytics、Meta、AppsFlyer 同一顆開關，預設開啟）。這顆開關只管 App 端：關著時 App 不會初始化 CFD SDK、不存推廣碼、 不回報安裝，也不會把推廣碼交給後端。但如果推薦關係已經成立（我們的後端已經記下是哪個 推廣碼帶來了這個帳號），之後這個帳號的購買、續訂、退款——我們的後端仍然會照常回報給 CFD。 這不是使用情形統計，是分潤結算：推薦人應得的分潤不會因為家長事後關掉這顆開關而消失或被漏算。
CFD 如何處理這些資料：CFD 只能把這些資料用於計算與結算推薦分潤，不得用於其他目的。若你想了解或要求刪除 CFD 收到的資料，寄信到 support@mivoo.ai，我們會代為處理。
刪除：已經送給 CFD 的資料不在我們手上，「刪除帳號」（§7.2）不會刪除 CFD 那邊已收到的資料； 我們自己資料庫裡還沒送出的紀錄會在刪除帳號時清掉其中的 Email（分潤帳目保留，不含可識別你的 資訊）。若你希望 CFD 那邊的資料也一併刪除，寄信到 support@mivoo.ai，我們會代為向 CFD 提出刪除請求。
6.1 朗讀功能與語音
App 有「朗讀題目」功能，用的是你裝置上的系統語音（iOS 的 AVSpeechSynthesizer／Android 的 TextToSpeech），不是我們的伺服器，也不是任何 第三方語音服務。題目文字送給系統語音引擎，在裝置上合成聲音。
我們只使用離線語音。 Android 上有些系統語音是雲端合成的——用那種語音會把 文字傳到該語音供應商的伺服器。為了不讓孩子的答題內容離開裝置，App 會自動排除 需要連網的語音；如果裝置上的中文語音全都需要連網，朗讀功能會停用，並在家長中心 說明如何安裝離線語音。
App 內的音效是隨安裝檔一起附帶的音訊檔，播放不涉及網路。
7. 怎麼刪除資料
7.1 清除這台裝置上的所有資料（現在就可以做）
家長中心（需要家長 PIN）→ 資料與隱私 → 清除本機所有資料。
這會刪除：孩子的進度、寵物、圖鑑、答題紀錄、家長 PIN。 這個動作無法復原，我們也沒有備份可以幫忙還原。
7.2 刪除帳號與雲端資料
家長中心（需要家長 PIN）→ 帳號 → 刪除帳號。
這會永久刪除該帳號與它在雲端的全部紀錄（存檔、逐題答題日誌、每週彙總、 里程碑、已授予的權益），並同時清除這台裝置上的資料。這個動作無法復原。
我們也會同時要求購買對帳服務 RevenueCat（見 §6）刪除該帳號在它那邊的 顧客紀錄與購買事件。若那一步失敗，這次刪除不會執行，畫面會請你稍後 再試——這是為了避免「我們這邊刪了、第三方那邊留著」。
Google Analytics 裡的使用情形資料不隨帳號即時刪除，於 2 個月保留期滿時自動刪除（§6.2）。
已經送給 Meta 的廣告成效事件也不隨帳號刪除（§6.3）。關掉「匿名使用統計」會停止產生新事件（已排隊的仍可能送出）， 並清掉 RevenueCat 上的 Meta 匿名識別碼。
已經送給 AppsFlyer 的安裝資訊也不隨帳號刪除（§6.4）；需要刪除時寄信給我們，由我們向 AppsFlyer 提出。
已經送給 CFD 的推廣分潤資料也不隨帳號刪除（§6.5）；我們自己資料庫裡還沒送出的紀錄會在 刪除帳號時清掉其中的 Email（分潤帳目保留）。需要 CFD 那邊的資料也刪除時寄信給我們， 由我們向 CFD 提出刪除請求。
App Store／Google Play 的購買與交易紀錄不在我們或 RevenueCat 手上， 由商店各自依其政策保存，不會因為刪除 Questari 帳號而消失。
「清除本機所有資料」與「刪除帳號」不一樣：前者只清這台裝置， 若你綁定過信箱，雲端那份還在、重新登入就拿得回來；後者連雲端一起刪。
若刪除過程中出現問題，或你想用其他方式提出刪除請求， 寄信到 support@mivoo.ai，我們會在 30 天內處理完成並回覆確認。
8. 兒童隱私
Questari 是為國小學生設計的練習遊戲。它目前不在 App Store 的兒童類別 （Kids Category）裡，App Store 年齡分級為 4+。
我們的做法是盡量不收集：不問姓名、不問年齡、不問任何聯絡方式， app 裡不放廣告，不收集廣告識別碼。app 會送出幾種資料：Google Analytics 的使用情形統計 （§6.2，只用於內部營運）、送給 Meta、用來量測我們自己廣告成效的事件（§6.3）、送給 AppsFlyer、用來判斷安裝來源的安裝資訊（§6.4），以及——只在透過推薦連結安裝、註冊或 購買時——送給推廣分潤合作方 CFD 的家長 Email 與購買紀錄（§6.5）。 推薦連結只在家長中心（需要家長 PIN）顯示與分享，孩子端沒有任何入口。 前三者要不要送由家長決定：家長中心 →「隱私設定」→「匿名使用統計」可以一次關掉 （預設開啟）；這顆開關也管 App 端的 CFD（不存推廣碼、不回報安裝），但已經成立的推薦關係， 之後的購買／續訂／退款回報不受這顆開關影響，見 §6.5。需要家長判斷的動作（購買、清除資料、 設定）都放在家長 PIN 之後。
若你是家長並認為我們仍然持有了不該持有的孩子資料， 寄信到 support@mivoo.ai，我們會刪除。
9. 你的權利
依適用之個人資料保護法規（含台灣《個人資料保護法》、歐盟 GDPR）， 你可以要求查詢、更正、複製或刪除你的資料，也可以撤回同意。 請寄信到 support@mivoo.ai。
匿名使用統計可以直接在 app 裡關掉，不必寄信：家長中心 →「隱私設定」→ 「匿名使用統計」。關掉之後我們不再送出任何使用統計事件（§6.2）、不再送任何事件給 Meta（§6.3），也不再送資料給 AppsFlyer（§6.4）或 App 端的 CFD 推廣碼與安裝回報（§6.5）， 遊戲功能完全不受影響。但如果這個帳號的推薦關係已經成立，後端仍會照常把購買、續訂、退款 回報給 CFD——這是分潤結算，關掉這顆開關不會影響它（§6.5）。
10. 政策變更
本政策有實質變更時，我們會更新本頁的「最後更新」日期， 並在 app 內以顯著方式告知。若變更涉及新增的資料收集項目， 我們會在該項目開始收集之前告知。